IT forenzika · Poslovanje
Kako tvrtka može organizirati istragu o kompromitiranju privilegiranog administratorskog računa?
Privilegirani računi mogu pristupiti velikim dijelovima infrastrukture i stoga su osobito važni za analizu dosega.
Zašto je ovo pitanje važno za poslovanje
Nakon kibernetičkog napada, tehničke, ekonomske, odluke o zaštiti podataka i regulatorne odluke mogu ovisiti o istom skupu činjenica. Stoga robusna rekonstrukcija mora jasno razlikovati dokazanu aktivnost, tehničku izvedivost i puku pretpostavku.
Tehnički istraživački pristup
Istražujemo autentifikaciju, upotrebu dozvola, administrativne alate, daljinski pristup te promjene identiteta, sustava i sigurnosnih kontrola.
Gdje leže granice onoga što se može reći
Administratorska prava pružaju tehničke mogućnosti, ali ne dovode automatski do potpunog kompromitiranja svih dostupnih sustava.
Zašto LanCologne?
Nakon kibernetičkog napada, neposredni prioriteti tvrtke su sigurnost i operativni kontinuitet. Međutim, za daljnje odluke nije dovoljno jednostavno znati da je ‚napad izvršen‘. Više rukovodstvo, službenici za zaštitu podataka, pravni savjetnici, osiguravatelji i, gdje je primjenjivo, nadležne vlasti zahtijevaju pouzdane odgovore na konkretna činjenična pitanja.
LanCologne stoga razlikuje otkrivanje, početni pristup, kompromitiranje, trajnost, bočno kretanje, pristup podacima, potencijalnu eksfiltraciju i stvarnu štetu. Ove faze mogu se odvijati s velikim vremenskim razmakom i ne smiju se poistovjećivati.
Gdje je to moguće, ključni nalazi provjeravaju se u odnosu na nekoliko neovisnih izvora podataka. Podaci o krajnjim točkama, mreži, identitetu, oblaku i sustavu imaju svoja ograničenja u pogledu zaključaka koji se iz njih mogu izvući. Za nas automatizirano upozorenje ili izvješće o proizvodu nije samo po sebi izvor dokaza, već polazišna točka za provjeru temeljnih primarnih podataka.
Protuhipoteze su također dio istrage. Neobičan prijem, na primjer, može se objasniti legitimnom administrativnom aktivnošću, VPN infrastrukturom, automatiziranim uslugama ili kompromitiranim vjerodajnicama. Pouzdana procjena može se donijeti samo korelacijom dodatnih dokaza.
Ako nedostaju ključni podaci, taj se jaz ne popunjava spekulacijama. Posebno u slučaju kibernetičkih incidenata, izjava ‚ne može se sa sigurnošću utvrditi na temelju primljenih podataka‘ ima veću tehničku vrijednost od naizgled jasnog opisa napada koji se ne može potvrditi na reproducibilan način.
Kako radimo
Odgovor na incidente i forenzika imaju različite, ali komplementarne ciljeve.
Primarni cilj obuzdavanja tekućeg napada jest zaštita organizacije. Forenzička rekonstrukcija potom razjašnjava, bilo naknadno ili paralelno, što se zapravo dogodilo. Stoga se potrebne sigurnosne mjere ne poduzimaju samo radi očuvanja idealnog stanja dokaza; neizbježne promjene dokumentiraju se što je više moguće.
Zašto LanCologne nakon kibernetičkog napada?
LanCologne ne temelji svoju istragu na hipotetičkom slijedu događaja. Ono što je važno jest što tehnički dokazi zapravo otkrivaju iz primarnih podataka. Nalazi koji su optužujući, oslobađajući ili neodređeni dokumentirani su na transparentan način kako bi više rukovodstvo i pravni savjetnici mogli donositi odluke na temelju provjerljivih činjenica.
Pravni okvir
Članak 32. GDPR-a zahtijeva od voditelja obrade i obrađivača da osiguraju razinu zaštite primjerenu riziku. To uključuje, između ostalog, povjerljivost, cjelovitost, dostupnost i otpornost, kao i sposobnost pravovremenog obnavljanja dostupnosti i pristupa nakon tehničkog ili fizičkog incidenta.
Ako je kibernetički incident doveo do povrede osobnih podataka, može se primijeniti članak 33. GDPR-a. Prema ovoj odredbi, povreda koja podliježe obavješćivanju načelno se mora prijaviti nadležnom nadzornom tijelu bez nepotrebnog odgađanja, a kad je to moguće, u roku od 72 sata od njezina otkrivanja, pod uvjetom da se ne može očekivati da će dovesti do rizika za prava i slobode fizičkih osoba. Članak 33. stavak 5. također zahtijeva da se povreda, njezine posljedice i poduzete mjere otklanjanja dokumentiraju. Kada postoji vjerojatnost visokog rizika, članak 34. GDPR-a može dodatno zahtijevati obavještavanje ispitanika. Pitanje ispunjavaju li se ti uvjeti predmet je procjene prema zakonu o zaštiti podataka; IT forenzika pruža tehničke činjenice u tu svrhu.
Od 6. prosinca 2025. revidirani Zakon o BSI-ju primjenjuje se na određene privatne tvrtke radi provedbe zahtjeva NIS 2. Je li se tvrtka klasificira kao organizacija od posebnog značaja ili važna organizacija, mora se procijeniti od slučaja do slučaja u skladu s važećim Zakonom o BSI-ju, uzimajući u obzir sektore, vrste organizacija i kriterije veličine. Za obuhvaćene organizacije, BSIG propisuje, između ostalog, obveze u vezi s upravljanjem rizikom kibernetičke sigurnosti i sigurnosnim incidentima; članak 38. BSIG-a nameće upravi iznimno važnih i važnih organizacija obvezu provedbe i nadzora mjera upravljanja rizikom.
Zakonski zahtjevi za izvještavanje i dokumentaciju mogu biti vremenski osjetljivi. Međutim, LanCologne ne donosi nikakve konačne pravne odluke u vezi s obvezama izvještavanja, odgovornošću ili odgovornošću. Pružamo tehnički provjerljivu činjeničnu osnovu na kojoj menadžment, službenici za zaštitu podataka i pravni savjetnici mogu donositi odluke.
Često postavljana pitanja
Kako tvrtka može organizirati istragu o kompromitiranju privilegiranog administratorskog računa?
Kako se takva tehnička istraga provodi u praksi?
Donosi li istraga uvijek jasan rezultat, bilo za ili protiv uključene osobe?
Postoji li za ovo pravna osnova?
Ako je kibernetički incident doveo do povrede osobnih podataka, može se primijeniti članak 33. GDPR-a. Prema ovoj odredbi, povreda koja podliježe obavješćivanju načelno se mora prijaviti nadležnom nadzornom tijelu bez nepotrebnog odgađanja, a kad je to moguće, u roku od 72 sata od njezina otkrivanja, pod uvjetom da se ne može očekivati da će dovesti do rizika za prava i slobode fizičkih osoba. Članak 33. stavak 5. također zahtijeva da se povreda, njezine posljedice i poduzete mjere otklanjanja dokumentiraju. Kada postoji vjerojatnost visokog rizika, članak 34. GDPR-a može dodatno zahtijevati obavještavanje ispitanika. Pitanje ispunjavaju li se ti uvjeti predmet je procjene prema zakonu o zaštiti podataka; IT forenzika pruža tehničke činjenice u tu svrhu.
Od 6. prosinca 2025. revidirani Zakon o BSI-ju primjenjuje se na određene privatne tvrtke radi provedbe zahtjeva NIS 2. Je li se tvrtka klasificira kao organizacija od posebnog značaja ili važna organizacija, mora se procijeniti od slučaja do slučaja u skladu s važećim Zakonom o BSI-ju, uzimajući u obzir sektore, vrste organizacija i kriterije veličine. Za obuhvaćene organizacije, BSIG propisuje, između ostalog, obveze u vezi s upravljanjem rizikom kibernetičke sigurnosti i sigurnosnim incidentima; članak 38. BSIG-a nameće upravi iznimno važnih i važnih organizacija obvezu provedbe i nadzora mjera upravljanja rizikom.
Zakonski zahtjevi za izvještavanje i dokumentaciju mogu biti vremenski osjetljivi. Međutim, LanCologne ne donosi nikakve konačne pravne odluke u vezi s obvezama izvještavanja, odgovornošću ili odgovornošću. Pružamo tehnički provjerljivu činjeničnu osnovu na kojoj menadžment, službenici za zaštitu podataka i pravni savjetnici mogu donositi odluke.
🔗 Povezane teme
LanCologne – IT forenzika za tvrtke
Imate li digitalni upit? LanCologne vam može pomoći s objektivnom, nepristranom IT forenzičkom istragom.